合规内控体系评价的高阶逻辑——“人”与“规则”的共生
发布时间：2025-07-17
作者： 陶光辉
合规管理体系和内部控制体系的建设，其实都是一个非常“标准化”的工作。
合规管理系对照合规要求，以管控PDCA的逻辑制定措施，完成体系建设；同样的，内部控制体系也是对照内控规范，也是以管控PDCA的逻辑制定措施，完成体系建设。
从内容到形式，都是很“标准化”的。
不管是合规体系，还是内控体系，都是基于业务流程（业务行为），描述可能的风险，然后给出应对措施，由此形成一套略有不同的管理规则。
所述略有不同，在于：
1）就风险方面，一个是合规风险，另一个则是内控风险。合规风险，是因违反各种“规”而形成的风险；内控风险，则是违反各种“内控规范”而形成的风险。
对“合规风险”的判断，其客观性无疑更强。什么是违法违规的，这个很清楚。对“内控风险”的判断以及进一步的描述，则无不凸显了主观性，这也正后面内控体系评价的难点，甚至是内控体系难以达到理想效果的根源之一。
2）就应对措施方面，合规体系的应对措施，偏向于通过审查、检查与考核等手段；内控体系的应对措施，则偏向于通过制衡、授权与监控等手段。
通过以上体系建设，就形成了合规管理体系和内部控制体系。
但要真正发挥作用，光靠“建设”这个“标准化”的工作，是不够的。还需要体系的“运行”，“不断的改进”。
只有在运行和改进中，而不是在建设中，我们才能真正体验到“管理的惯性与变革的压力”，也才能反过来认定，到底什么才是有效的合规内控体系建设？
既不是所谓“四大”等领先咨询机构承办的合规内控体系建设才是有效的，也不是那些知名的酷炫公司的合规内控体系建设就是更好的，真正有效的合规内控体系建设，与这些都无关。
个人认为，要评价合规内控体系的有效性、实用性以及合理性，应当从合规内控体系的底层开始，这是合规内控体系建设的“原动力”，也是合规内控体系评价的“高阶逻辑”。
这个“原动力”和“高阶逻辑”是什么？
我认为，是“人”与“规则”的共生。
1. “规则”是死的，“人”是活的。
在合规内控体系评价过程中，我们不能简单的拿体系建设中编制出来的那些“死板”的义务、要求、规范来评价业务行为的正确与否。
因为，有大量的业务行为都有其深层背景、惯性，这导致业务行为是非常丰富的，且其出发点都是有经济上理由、文化上理由等。
最全面的义务和规范，以及最全面的制度和机制，都需要个体的“人”来执行。
“人”的能力和意愿，决定了这些义务、规范、制度的有效发挥作用与否。
这就是我们评价时，必须把一部分注意力放到观察“人”的能力和意愿的匹配性上来。
这通过书面评价是无法做到的，必须通过有经验的人去访谈、去交流，才能得出判断。
2. “规则”对“人”的诱导。
当“规则”要求过多，“人”就会疲于应付。如各种检查、各种监督，各种会议，员工忙于应付，却忽视了自身的业务问题、业务风险。
当“规则”要求过繁，“人”就会消极应对或产生抵触。如一个发票报销，需要8个人签字，要30天、60天，甚至更长的时间。那么，这就会导致大家都不愿意出差，不愿意开展业务。
乍一看，业务内控很扎实，但需要几十个人签字才能走完的流程，绝不是合理的内控。这种内控规则，带来的损失，可能远远超过其“控制价值”。
当“规则”滞后或模糊时，“人”还可能产生“钻漏洞”的动机。因为这时候，必须依赖于“人”的判断。此时，“人”的价值观，决定了这个判断是有利于企业，还是不利于企业。
因此，合规内控体系评价时，对合规制度、内控制度进行判断时 ，一定要先判断其合理性。只有合理的基础上，才能判断其合规性、合规范性。
3. “人”对 “规则”的驯化。
制度、指引、手册等“规则”一旦形成，“人”的本能是抵制的，在没有外在压力的情况下，员工是不会主动去掌握的。
即“外规内化”的深度，永远值得关注。员工养成遵守制度、流程、规则，不是一朝一夕的，必须经历不断的“植入”。
如当前合规三张清单，内控评价表，这些都应当由业务部门掌握，而不是合规内控部门掌握。
实践中，这些基本上都只限于由牵头部门知晓和理解。但牵头部门知道了就完事了，业务部门的人员是没有意愿去熟悉这些“规则”的，更别说主动遵守了。
因此，合规内控体系评价，还需要去观察业务部门对制度、清单、指引等的熟悉程度。
如果不熟悉，也不明白，那么完全可以不要这些制度、清单和指引。
只有被业务部门“驯化”的“规则”，才是有效的“规则”。
小结一下：要评价合规内控体系的有效性，其核心是同时评价体系建设形成的“规则”以及体系建设后形成的“人”的能力、意愿与心态。
最高的境界并不是“人适应规则”，也不是“规则迁就人”，而是“人”与“规则”在反复博弈中共同进化、相互融合，最终生长出企业的合规内控基因，这便是本人所说的“人”与“规则”的共生。
以上观点是本人近年主导合规内控评价项目有感，进行管理哲学方面的升华而形成。
上一条
下一条
—— 为法务人赋能，助企业家化险
